Malware Analysis
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
इस स्क्रिप्ट का उपयोग करके github से सभी yara malware नियमों को डाउनलोड और मर्ज करें: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 rules निर्देशिका बनाएं और इसे निष्पादित करें। यह malware_rules.yar नामक एक फ़ाइल बनाएगा जिसमें malware के लिए सभी yara नियम शामिल हैं।
आप बाइनरी से यारा नियम उत्पन्न करने के लिए YaraGen उपकरण का उपयोग कर सकते हैं। इन ट्यूटोरियल को देखें: भाग 1, भाग 2, भाग 3
Capa संभावित दुर्भावनापूर्ण क्षमताओं का पता लगाता है जो निष्पादन योग्य फ़ाइलों में होती हैं: PE, ELF, .NET। इसलिए यह ऐसे चीज़ें खोजेगा जैसे Att&ck रणनीतियाँ, या संदिग्ध क्षमताएँ जैसे:
OutputDebugString त्रुटि के लिए जाँच करें
सेवा के रूप में चलाएँ
प्रक्रिया बनाएँ
इसे Github repo में प्राप्त करें।
IOC का अर्थ है Indicator Of Compromise। एक IOC कुछ संभावित अवांछित सॉफ़्टवेयर या पुष्टि किए गए malware की पहचान करने वाले शर्तों का एक सेट है। ब्लू टीमें इस प्रकार की परिभाषा का उपयोग अपने सिस्टम और नेटवर्क में इस प्रकार की दुर्भावनापूर्ण फ़ाइलों की खोज के लिए करती हैं। इन परिभाषाओं को साझा करना बहुत उपयोगी है क्योंकि जब किसी कंप्यूटर में malware की पहचान की जाती है और उस malware के लिए एक IOC बनाया जाता है, तो अन्य ब्लू टीमें इसे malware की पहचान तेजी से करने के लिए उपयोग कर सकती हैं।
IOCs बनाने या संशोधित करने के लिए एक उपकरण है IOC Editor. आप Redline जैसे उपकरणों का उपयोग कर सकते हैं एक डिवाइस में परिभाषित IOCs की खोज के लिए।
Loki सरल Indicator of Compromise के लिए एक स्कैनर है। पता लगाने की प्रक्रिया चार पहचान विधियों पर आधारित है:
Linux Malware Detect (LMD) एक मैलवेयर स्कैनर है जो GNU GPLv2 लाइसेंस के तहत जारी किया गया है, जिसे साझा होस्टेड वातावरण में सामना की जाने वाली खतरों के चारों ओर डिज़ाइन किया गया है। यह नेटवर्क एज इंट्रूज़न डिटेक्शन सिस्टम से खतरे के डेटा का उपयोग करता है ताकि उन मैलवेयर को निकाला जा सके जो हमलों में सक्रिय रूप से उपयोग किए जा रहे हैं और पहचान के लिए सिग्नेचर उत्पन्न करता है। इसके अतिरिक्त, खतरे का डेटा LMD चेकआउट फीचर और मैलवेयर समुदाय संसाधनों के साथ उपयोगकर्ता सबमिशन से भी प्राप्त किया जाता है।
जैसे उपकरण rkhunter का उपयोग फ़ाइल सिस्टम की जांच करने के लिए किया जा सकता है कि क्या संभव रूटकिट और मैलवेयर हैं।
FLOSS एक उपकरण है जो विभिन्न तकनीकों का उपयोग करके निष्पादन योग्य फ़ाइलों के अंदर छिपे हुए स्ट्रिंग्स को खोजने की कोशिश करेगा।
PEpper निष्पादन योग्य फ़ाइल के अंदर कुछ बुनियादी चीजों की जांच करता है (बाइनरी डेटा, एंट्रॉपी, URL और IP, कुछ यारा नियम)।
PEstudio एक उपकरण है जो विंडोज निष्पादन योग्य फ़ाइलों की जानकारी प्राप्त करने की अनुमति देता है जैसे कि आयात, निर्यात, हेडर, लेकिन यह वायरस टोटल की भी जांच करेगा और संभावित Att&ck तकनीकों को खोजेगा।
DiE एक उपकरण है जो यह पता लगाने के लिए है कि क्या एक फ़ाइल एन्क्रिप्टेड है और पैकर भी खोजता है।
NeoPI एक पायथन स्क्रिप्ट है जो पाठ/स्क्रिप्ट फ़ाइलों के भीतर छिपे हुए और एन्क्रिप्टेड सामग्री का पता लगाने के लिए विभिन्न सांख्यिकीय विधियों का उपयोग करती है। NeoPI का उद्देश्य छिपे हुए वेब शेल कोड का पता लगाने में सहायता करना है।
PHP-malware-finder छिपे हुए/संदिग्ध कोड के साथ-साथ फ़ाइलों का पता लगाने के लिए अपनी पूरी कोशिश करता है जो अक्सर मैलवेयर/वेबशेल में उपयोग की जाने वाली PHP फ़ंक्शंस का उपयोग करते हैं।
जब आप कुछ मैलवेयर नमूने की जांच कर रहे हों, तो आपको हमेशा बाइनरी के हस्ताक्षर की जांच करनी चाहिए क्योंकि जिस डेवलपर ने इसे हस्ताक्षरित किया है, वह पहले से ही मैलवेयर से संबंधित हो सकता है।
यदि आप जानते हैं कि किसी फ़ोल्डर में फाइलें एक वेब सर्वर की कुछ तारीख को अंतिम बार अपडेट की गई थीं। जांचें कि वेब सर्वर में सभी फाइलों की तारीखें कब बनाई और संशोधित की गई थीं और यदि कोई तारीख संदिग्ध है, तो उस फ़ाइल की जांच करें।
यदि किसी फ़ोल्डर की फाइलें संशोधित नहीं होनी चाहिए थीं, तो आप फ़ोल्डर की मूल फाइलों का हैश निकाल सकते हैं और उन्हें वर्तमान फाइलों के साथ तुलना कर सकते हैं। जो भी संशोधित होगा वह संदिग्ध होगा।
जब जानकारी लॉग में सहेजी जाती है, तो आप सांख्यिकी की जांच कर सकते हैं जैसे कि एक वेब सर्वर की प्रत्येक फ़ाइल को कितनी बार एक्सेस किया गया, क्योंकि एक वेब शेल सबसे अधिक हो सकता है।
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
